Watering Hole Attack

Définition

L'attaque de point d'eau (Watering Hole Attack) est une technique d'attaque ciblée dans laquelle l'attaquant compromet un site web ou une ressource en ligne fréquenté par les individus qu'il souhaite cibler, plutôt que d'attaquer directement les cibles. Les visiteurs du site compromis sont infectés via des exploits de navigateur ou des téléchargements malveillants. La métaphore du point d'eau vient du comportement prédateur dans la nature : plutôt que de chasser les proies directement, le prédateur attend au point d'eau que les animaux viennent boire. De même, l'attaquant compromise le site web d'une association professionnelle, d'un forum sectoriel, ou d'un fournisseur que ses cibles visitent régulièrement. La technique est particulièrement efficace pour des cibles qui seraient difficiles à phisher directement (utilisateurs très méfiants, organisations avec des protections anti-phishing strictes) mais qui font confiance aux sites professionnels de leur secteur. Des APT (APT32/Ocean Lotus, Sandworm) ont utilisé cette technique pour cibler des industries spécifiques. L'exploitation peut prendre différentes formes : injection d'un exploit kit JavaScript qui exploite des vulnérabilités de navigateur (drive-by download), injection d'un iframe pointant vers un exploit server externe, modification de liens de téléchargement pour pointer vers des binaires malveillants, ou même injection d'un supply chain compromise (compromettre une bibliothèque JavaScript tierce utilisée par de nombreux sites). Des cas documentés incluent : la compromission du site du Council on Foreign Relations (ciblant des diplomates et analystes en 2012), des sites d'associations industrielles pour cibler des ingénieurs OT, et des sites d'actualité sectorielle pour cibler des journalistes.